Da cosa nasce la sentenza e perché tutti i gestori di siti web sono coinvolti
La sentenza del Garante per la Privacy
Il Garante per la privacy italiano ha dichiarato illegittimo il trasferimento di dati da parte di Google Analytics in USA: si tratta infatti di una violazione del GDPR, che vieta appunto il trasferimento di informazioni verso Paesi che non garantiscono livelli di protezione pari a quelli europei.
La sentenza del Garante arriva dopo un iter complesso e altre sentenze emanate in Paesi europei come Francia e Austria.
Il tutto è nato dal reclamo di un utente verso Caffeina Media S.r.l., che gestisce un sito web. Il reclamo ha permesso di accertare, da parte del Garante per la Privacy, il trasferimento di dati personali negli Stati Uniti. In particolare, ha indicato nell’ammonimento che “I trasferimenti effettuati da Caffeina Media S.r.l. verso Google LLC (con sede negli Stati Uniti), per il tramite dello strumento di Google Analytics, sono stati posti in essere in violazione degli artt. 44 e 46 del Regolamento; si rileva, altresì, che sono emerse le violazioni dell’art. 5, par. 1, lett. a) e par. 2, dell’art. 13, par. 1, lett. f), e dell’art. 24, del Regolamento”.
Di quali dati si tratta
I gestori dei siti web che utilizzano Google Analytics raccolgono, tramite cookie, dati sugli utenti che navigano le pagine web. I dati in questione sono: indirizzo IP dei dispositivi, informazioni su browser e sistemi operativi usati, risoluzione dello schermo, lingua selezionata, data e ora della visita.
Come adeguarsi al GDPR se hai Google Analytics o altri strumenti di tracciamento
Caffeina Media Srl è solo uno dei gestori di siti web che si trova a far fronte a questa sentenza. Non è prevista alcuna sanzione ma solo l’obbligo entro 90 giorni, a partire dal 9 giugno 2022, di verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web rispetto alla normativa vigente in materia di protezione dei dati personali.
Questa la raccomandazione che si legge in una comunicazione ufficiale: “l’Autorità richiama all’attenzione di tutti i gestori italiani di siti web, pubblici e privati, l’illiceità dei trasferimenti effettuati verso gli Stati Uniti attraverso Google Analytics anche in considerazione delle numerose segnalazioni e quesiti che stanno pervenendo. E invita tutti i titolari del trattamento a verificare la conformità delle modalità di utilizzo di cookie e altri strumenti di tracciamento utilizzati sui propri siti web, con particolare attenzione a Google Analytics e ad altri servizi analoghi, con la normativa in materia di protezione dei dati personali.”
Terminati i 90 giorni, il Garante procederà a verificare la conformità al Regolamento Ue dei trasferimenti di dati effettuati dai titolari.
L’autorità ha rimesso tali valutazioni in capo al titolare del trattamento, il quale assume l’obbligo di analizzare il processo di trattamento dei dati per valutare il rischio sotteso allo stesso, aggiornando periodicamente il registro dei trattamenti e l’informativa resa agli interessati sul punto.
L’attuale trattamento dei dati personali con Google Analytics non rispetta il GDPR e il suo utilizzo in Europa potrebbe comportare l’applicazione di una sanzione amministrativa (che va fino a 20 milioni di euro o al 4% del fatturato annuo).
